Appliances der PowerProtect DP Serie und IDPA melden SHA1-veraltete Einstellung für SSH (QID 38909)

ssh -o "HostKeyAlgorithms ssh-rsa" localhost

ssh -o "HostKeyAlgorithms ssh-rsa" <IP Address>

The authenticity of host 'localhost (127.0.0.1)' can't be established.
RSA key fingerprint is SHA256:DvdSBsGADdtyhzc5wi+CCpSpelEhVXFWeWQ9pheDJ2g.
Are you sure you want to continue connecting (yes/no)?

Unable to negotiate with 127.0.0.1 port 22: no matching host key type found. Their offer: ecdsa-sha2-nistp256,ssh-ed25519

Mit der folgenden Problemumgehung wird der SSH-RSA-Hostschlüssel für IDPA-bezogene Komponenten deaktiviert. 

Für ACM, Avamar, Avamar Proxy, DPA und Suche:

1. Melden Sie sich bei der VM als Root an. Melden Sie sich für Avamar und Avamar Proxy zuerst als Administrator an und melden Sie sich dann mit su als root an.

2. Ändern Sie das Arbeitsverzeichnis zu /etc/ssh.

cd /etc/ssh

3. Erstellen Sie eine Sicherungskopie der vorhandenen Datei /etc/ssh/sshd_config

cp -p /etc/ssh/sshd_config /etc/ssh/sshd_config.backup

4. Ändern Sie /etc/ssh/sshd_config und lassen Sie nur "HostKey /etc/ssh/ssh_host_ecdsa_key" und "HostKey /etc/ssh/ssh_host_ed25519_key" in der Konfigurationsdatei für alle HostKey-Einstellungen zu:
 

Abbildung 1: Ein Beispiel zeigt, dass nur "HostKey /etc/ssh/ssh_host_ecdsa_key" und "HostKey /etc/ssh/ssh_host_ed25519_key" aktiv sind. 

5. Testen Sie die Syntax der Datei /etc/ssh/sshd_config. Der folgende Befehl muss "0" ausgeben. Wenn dies nicht der Fall ist, korrigieren Sie alle Syntaxfehler in der Datei, bevor Sie fortfahren:

sshd -t |echo $?
0

6. Starten Sie den sshd-Prozess neu:

systemctl restart sshd

7. Wenn der Hostschlüssel ssh-rsa deaktiviert ist, wird die Meldung "kein passender Hostschlüsseltyp gefunden" angezeigt, wenn SSH-RSA als Hostschlüssel verwendet wird:

ssh -o "HostKeyAlgorithms ssh-rsa" localhost
Unable to negotiate with 127.0.0.1 port 22: no matching host key type found. Their offer: ecdsa-sha2-nistp256,ssh-ed25519

Für Data Domain: 
   

Für iDRAC:

1. Melden Sie sich bei der iDRAC RACADM-Befehlszeilenschnittstelle

2 an. Überprüfen Sie die vorhandene Einstellung für die SSH-Verschlüsselung mit dem folgenden Befehl:

get idrac.sshcrypto.ciphers

3. Aktualisieren Sie die Einstellung für die SSH-Verschlüsselung mit dem folgenden Befehl:

set idrac.sshcrypto.ciphers aes128-gcm@openssh.com,aes256-gcm@openssh.com

4. Überprüfen Sie die Einstellung der SSH-Verschlüsselung erneut:

get idrac.sshcrypto.ciphers

Hier ist ein Beispiel für die erwartete Ausgabe der oben genannten Befehle:

racadm>>get idrac.sshcrypto.ciphers
[Key=idrac.Embedded.1#SSHCrypto.1]
Ciphers=chacha20-poly1305@openssh.com,aes128-ctr,aes192-ctr,aes256-ctr,aes128-gcm@openssh.com,aes256-gcm@openssh.com

racadm>>set idrac.sshcrypto.ciphers aes128-gcm@openssh.com,aes256-gcm@openssh.com
[Key=idrac.Embedded.1#SSHCrypto.1]
Object value modified successfully

racadm>>get idrac.sshcrypto.ciphers
[Key=idrac.Embedded.1#SSHCrypto.1]
Ciphers=aes128-gcm@openssh.com,aes256-gcm@openssh.com
racadm>>

5. Überprüfen Sie, ob SSH-RSA als Hostschlüssel deaktiviert ist:

ssh -o "HostKeyAlgorithms ssh-rsa" <IDRAC IP Address>
Unable to negotiate with <IDRAC IP Address> port 22: no matching cipher found. Their offer: aes128-gcm@openssh.com,aes256-gcm@openssh.com

Der vorherige bekannte Hostschlüssel ist ungültig:

Nach dem Deaktivieren des ssh-rsa-Hostschlüssels ist der zuvor gespeicherte RSA-Hostschlüssel in der SSH-known_hosts Datei nicht mehr gültig. Es kann ein Fehler ähnlich dem folgenden angezeigt werden:

idpa-acm:~ # ssh 192.168.100.100
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:J4j0FrLvrWbFouXtTE8qMCkDrIQ9U0+RaPGIKXtprTo.
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending RSA key in /root/.ssh/known_hosts:9
You can use following command to remove the offending key:
ssh-keygen -R 192.168.100.100 -f /root/.ssh/known_hosts
ECDSA host key for 192.168.100.100 has changed and you have requested strict checking.
Host key verification failed.
idpa-acm:~ #

Um die SSH-known_hosts Datei für einen bestimmten Host zu aktualisieren, kann der folgende Befehl verwendet werden:

ssh-keygen -R <IP Address> -f /root/.ssh/known_hosts

Ein Beispiel wäre in etwa so:

/root/.ssh/known_hosts updated.
Original contents retained as /root/.ssh/known_hosts.old
idpa-acm:~ # ssh 192.168.100.100
The authenticity of host '192.168.100.100 (192.168.100.100)' can't be established.
ECDSA key fingerprint is SHA256:J4j0FrLvrWbFouXtTE8qMCkDrIQ9U0+RaPGIKXtprTo.
Are you sure you want to continue connecting (yes/no)?

SSH zu iDRAC mit dem Fehler "keine übereinstimmende Verschlüsselung gefunden":

Nach dem Aktualisieren der iDRAC-Verschlüsselungschiffren kann eine SSH-Verbindung von ACM oder einer anderen VM zum iDRAC die folgende Fehlermeldung erhalten. Die iDRAC-IP-Adresse lautet in diesem Beispiel 10.60.9.156:

idpa-acm:~ # ssh 10.60.9.156
Unable to negotiate with 10.60.9.156 port 22: no matching cipher found. Their offer: aes128-gcm@openssh.com,aes256-gcm@openssh.com
idpa-acm:~ #

Es gibt zwei Möglichkeiten, dieses Problem zu beheben.

Option 1:
Fügen Sie die Option "-c aes128-gcm@openssh.com" hinzu, wenn SSH eine Verbindung zum iDRAC herstellt. 

Zum Beispiel:

idpa-acm:~ # ssh -c aes128-gcm@openssh.com 10.60.9.156
Password:
racadm>>

Option 2:
Ändern Sie /etc/ssh/ssh_config so, dass Chiffren aes128-gcm@openssh.com und aes256-gcm@openssh.com enthalten sind.

1. Melden Sie sich bei der VM als Root an. Melden Sie sich für Avamar und Avamar Proxy zuerst als Administrator an und melden Sie sich dann mit su als root an.

2. Ändern Sie das Arbeitsverzeichnis in /etc/ssh.

cd /etc/ssh

3. Erstellen Sie eine Sicherungskopie der vorhandenen Datei /etc/ssh/ssh_config.

cp -p /etc/ssh/ssh_config /etc/ssh/ssh_config.backup

4. Ändern Sie die /etc/ssh/ssh_config so, dass Chiffren aes128-gcm@openssh.com und aes256-gcm@openssh.com enthalten sind.

Von:

Abbildung 2: Die Standard-Verschlüsselungseinstellung in /etc/ssh/ssh_config

zu:

Abbildung 3: Neue Verschlüsselungseinstellung in /etc/ssh/ssh_config

Nach dem Update von /etc/ssh/ssh_config, um die Chiffren aes128-gcm@openssh.com und aes256-gcm@openssh.com einzuschließen, sollte die Meldung "keine übereinstimmende Verschlüsselung gefunden" behoben sein. 

Für den Fall, dass ein Windows-basierter SSH-Client die Fehlermeldung "no matching cipher found" erhält:


Abbildung 4: Der Fehler "keine übereinstimmende Verschlüsselung gefunden" wurde in einem Windows-basierten SSH-Client

empfangen Die PuTTY-Version 0.81 wurde ohne dieses Problem getestet.

Abbildung 5: PuTTY 0.81 kann für den Zugriff auf den iDRAC von Windows aus verwendet werden.

PowerProtect Data Protection Appliance, PowerProtect DP4400, PowerProtect DP5300, PowerProtect DP5800, PowerProtect DP8300, PowerProtect DP8800, PowerProtect Data Protection Software, Integrated Data Protection Appliance Family , Integrated Data Protection Appliance Software, PowerProtect DP5900, PowerProtect DP8400, PowerProtect DP8900 ... 扩大查看范围 about warranties 缩小查看范围 about warranties